CZ：「ユーザーは自身のデータを守り、プラットフォーム間での情報の使い回しを減らすべき」
CZ：「ユーザーは自身のデータを守り、プラットフォーム間での情報の使い回しを減らすべき」
データ漏えいは、暗号資産業界において常に付きまとうリスクとなっています。顧客の資金が直接流出していなくても、漏えいした個人情報が、フィッシング詐欺やSIMスワッピング、なりすまし、標的型ソーシャルエンジニアリングの温床になる可能性があります。
10月28日、Binanceの創設者であるChangpeng Zhao氏（通称CZ）は、デジタル資産業界と伝統的な金融業界の双方に関わる企業で発生した、複数の情報漏えい事例について言及しました。報告された事例には、Coinbaseと関係のあるサービスプロバイダー、韓国の暗号資産取引所Bithumb、そして韓国の証券会社2社であるMirae AssetとDaishin Securitiesが含まれています。Coinbase関連の事案では、漏えいしたのは資金へのアクセス情報ではなく、ユーザーの連絡先データだったと報じられています。
これらの事例は、暗号資産ユーザーにとって重要な現実を浮き彫りにしています。企業への侵害そのものを防ぐことはできなくても、自分が共有する情報によって生じる被害は抑えられるということです。
情報漏えいが暗号資産のセキュリティ問題につながる理由
メールアドレスや電話番号は、単体では無害に見えるかもしれません。しかし攻撃者は、複数の情報を組み合わせることで、標的の人物像を精密に把握できます。
金融サービスの情報漏えいで流出しやすい情報には、次のようなものがあります。
- 氏名
- メールアドレス
- 電話番号
- 居住地または郵送先住所
- 本人確認書類の情報
- 取引履歴やアカウントの利用状況
- カスタマーサポートとのやり取り
こうした情報は、偽のメッセージを本物らしく見せるために利用されます。攻撃者は、取引所やウォレット事業者、銀行、コンプライアンス部門などを装い、本人確認の手続きやアカウントのロック解除、不審な取引の確認が必要だと伝えてくる可能性があります。
攻撃の目的は、必ずしもプラットフォームへ直接侵入することではありません。むしろ、被害者をだましてパスワードを入力させたり、取引を承認させたり、悪意のあるソフトウェアをインストールさせたり、リカバリーフレーズを聞き出したりすることが狙いです。
米連邦取引委員会（FTC）によるSIMスワッピング詐欺への対策ガイダンスでは、犯罪者が被害者の電話番号を乗っ取り、認証コードを受け取る手口について説明されています。暗号資産分野では、電話番号がアカウント復旧手段や、アカウントアクセスの主要な認証要素として使われている場合、特に大きな危険となります。
同じ情報をあらゆるサービスで使い回すリスク
多くのユーザーは、複数の取引所やウォレット、NFTマーケットプレイス、決済サービス、ブロックチェーンアプリに、同じメールアドレスや電話番号で登録しています。これはアカウント管理を便利にする一方で、本来は別々であるはずのサービス同士を強く結び付けてしまいます。
1つのデータベースが侵害されると、攻撃者は流出した情報を使って、次のような行為を試みる可能性があります。
- 被害者がアカウントを持っている可能性のある他のプラットフォームを特定する。
- 現実世界の身元と暗号資産の利用状況を結び付ける。
- 個人に合わせて巧妙に作られたフィッシングメッセージを送る。
- 関係のない他のサービスでパスワードリセットを試みる。
- 公開情報を通じて、さらに多くの情報を探し出す。
- ソーシャルエンジニアリング攻撃の標的にする。
同じ識別情報を共有するプラットフォームが増えるほど、個人の詳細なプロフィールは作成しやすくなります。これは、複数の取引所にデジタル資産を保管しているユーザーや、特定の身元と結び付いた状態で分散型アプリケーションを利用しているユーザーにとって、特に深刻な問題です。
したがって、データを必要最小限に抑えることは、単なるプライバシー保護の原則ではありません。実践的な暗号資産セキュリティ戦略の一部でもあります。
サービスごとに異なるメールエイリアスを使う
最も簡単にできる改善策の1つは、主要な取引所や金融プラットフォームごとに、専用のメールエイリアスを使い分けることです。
たとえば、どのサービスでも同じメールアドレスを使うのではなく、次のようにそれぞれ専用のエイリアスを作成できます。
- 中央集権型取引所
- 法定通貨のオンランプサービス
- 取引プラットフォーム
- ブロックチェーン分析サービス
- ソフトウェアウォレットまたはハードウェアウォレットのアカウント
- 金融以外のウェブサービス
あるエイリアスに不審なメッセージが届くようになった場合、どのサービスがそのアドレスを漏えいまたは共有した可能性があるのかを特定しやすくなります。さらに、サービスごとに異なるエイリアスを使えば、そのアカウントとユーザーの他のオンライン上の身元情報を攻撃者が結び付けることも難しくなります。
ただし、エイリアスは強固な認証の代わりになるものではありません。固有のパスワード、パスワードマネージャー、そして利用可能であればフィッシング耐性のある多要素認証と組み合わせることで、より効果を発揮します。米国国立標準技術研究所（NIST）のデジタル・アイデンティティに関するガイダンスにも、認証やアカウントの安全管理に関する幅広い推奨事項がまとめられています。
共有する個人情報を減らす
ユーザーは、アカウント登録や本人確認の際に、どの情報が本当に必要なのかについても慎重に考えるべきです。
一部の暗号資産プラットフォームでは、法令や規制上の要件を満たすために、本人確認情報の収集が義務付けられています。その場合、ユーザーは書類の提出を避けられないことがあります。それでも、次のような方法で不要な情報の露出を減らすことは可能です。
- 任意入力のプロフィール項目を記入しない
- 可能な場合は、使っていない電話番号をアカウントから削除する
- ウォレットアドレスを公開する範囲を限定する
- 残高や取引履歴が写ったスクリーンショットを共有しない
- 個人用のソーシャルメディアプロフィールと暗号資産関連の身元情報を分ける
- 取引所や金融アプリのプライバシー設定を確認する
- サービスが対応している場合は、利用していないアカウントを削除する
また、見慣れないプラットフォームに本人確認書類を提出する際も注意が必要です。本人確認を完了する前に、その企業の法人としての実態、セキュリティ対策、プライバシーポリシー、カスタマーサポートの連絡先を確認しましょう。たとえメッセージに正確な個人情報が含まれていたとしても、予期せず届いたメッセージを通じて機密書類の提出を求められた場合は、不審な要求として扱うべきです。
情報漏えい後のフィッシング詐欺から身を守る
データ漏えいが発生すると、その後の詐欺メッセージはより本物らしく見えるようになります。自分の名前や電話番号、取引履歴の一部が記載されていたとしても、そのメッセージは偽物かもしれないと考えるべきです。
行動を起こす前に、次の点を確認してください。
- 予期していないアカウント警告のリンクをクリックしない。
- ブックマークしたウェブサイトや公式アプリからサービスを開く。
- シードフレーズ、秘密鍵、ワンタイム認証コードを決して共有しない。
- 出金やアカウント凍結に関する緊急の要求は、高リスクのものとして扱う。
- サポートからの連絡は、別の独立した経路を通じて確認する。
- 認証情報を入力する前に、ドメイン名を一字ずつ確認する。
- 見知らぬ「サポート担当者」の指示でソフトウェアをインストールしない。
正規のプラットフォームが、アクセスの復旧や取引の調査のためにユーザーのリカバリーフレーズを求めることはありません。それを要求する人物は、ウォレットを乗っ取ろうとしていると考えてください。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のフィッシング対策ガイダンスでも、予期しない要求に焦って対応するのではなく、いったん立ち止まり、独立した手段で確認することが推奨されています。
セルフカストディでもプライバシーのリスクはなくならない
セルフカストディは、秘密鍵の管理を第三者に依存せずに済むという点で有効ですが、それだけで身元情報やプライバシーに関する問題が解決するわけではありません。
ユーザーはセルフカストディ型ウォレットで資産を保有しながらも、取引所のアカウントやブロックチェーンアプリ、ソーシャルプラットフォーム、公開されたウォレット情報を通じて個人データを露出させる可能性があります。ウォレットアドレスが氏名やメールアドレス、取引アカウントと結び付けられると、オンチェーン上の活動が分析され、現実世界の個人と関連付けられやすくなります。
より安全なアプローチは、次のような複数の対策を組み合わせることです。
- 秘密鍵とリカバリーフレーズをオフラインで保管する。
- 金融サービス専用のメールアドレスや身元情報を使う。
- 不必要にウォレットアドレスを公開しない。
- 署名する前に取引内容を確認する。
- 長期保有用の資産と、頻繁に取引する資産を分ける。
- バックアップを安全に保管し、リカバリーフレーズをクラウド上の文書やメッセージアプリに保存しない。
秘密鍵を自分で管理したいユーザーにとって、OneKeyのハードウェアウォレットは、機密性の高いウォレット操作を、侵害されている可能性のあるコンピューターやウェブサイトから切り離すことを目的とした、オフライン署名環境を提供します。これによって、取引所やサービスプロバイダーで発生する情報漏えいそのものを防ぐことはできません。しかし、流出した連絡先情報が、不正な取引承認に直接つながる可能性を抑えるのに役立ちます。
暗号資産ユーザーのための、より強固なセキュリティモデル
1つのセキュリティ対策だけで、あらゆる攻撃を防ぐことはできません。情報漏えいは、取引所や分析サービス、決済処理業者、通信事業者、さらには暗号資産業界とは無関係の金融機関でも発生する可能性があります。
より現実的な目標は、露出する情報量を抑え、アカウント同士を結び付けにくくし、身元情報が漏えいしても、それだけでデジタル資産の管理権限を奪われないようにすることです。
メールエイリアスの使い分け、不要なデータ共有の削減、認証の強化、秘密鍵とオンラインサービスの分離を実践すれば、ユーザーのセキュリティ水準は大きく向上します。CZの警告が示すように、個人データの保護は、責任ある暗号資産保有に欠かせない要素になりつつあります。もはや、任意で追加するプライバシー対策ではありません。
